新加坡個資保護法責任指南
新加坡個人資料保護法(Personal Data Protection Act 2012, PDPA)的基本原則之一在於可歸責性(Accountability)之建立，原因在於個資保護的責任歸屬，是組織對個資的持有與控制所為的承諾與責任表示。因此，PDPA第11、12條之法遵責任，組織必須對所持有或控制的個資負責，並且需制定並實施資料保護政策、溝通並告知員工相關政策、及履行PDPA義務所必須施行之流程與作法。於組織責任而言，PDPA雖有強制性義務責任，但應忖量組織內部責任歸屬的措施，而非僅將責任落於遵守法律的程度，組織必須從合於法規的方法轉為基於責任歸屬的方法來管理個人資料。
從而，該指南在政策、人員、流程等領域中透過資料生命週期的循環，確立組織責任歸屬。從落實良好的責任制始於組織領導力的概念出發，設定組織管理高層之職責與調性，繼而規劃處理個資及管理資料風險的方法。並由組織人員治理面向，確立溝通資訊與員工培訓知識與資源。除此之外，也在特定流程設置上，紀錄個人資料流動，了解如何收集、儲存、使用、揭露、歸檔或處理個人資料為流程的首要任務，繼而確認資料保護層面主要的差距與需要改進的領域。再將資料保護實踐於業務流程、系統、商品或服務。
本文為「經濟部產業技術司科技專案成果」
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
江敔菲
副法律研究員 編譯整理
為了改善下一世代的健康，資料來源係來自於半數英國人口的英國人類基因資料庫於今年三月底正式開放給所有研究者使用。該資料庫資訊包含二萬六千筆糖尿病患者、五萬筆關節疾病患者、四萬一千筆不飲酒者，以及一萬一千筆心臟病患者的健康資訊。 英國人體基因資料庫係利用四年的時間招募來自蘇格蘭、英格蘭與威爾斯地區，年紀介於四十到六十九歲的自願捐贈者，就其採集檢體、身高、體重、體脂肪、手握力、骨頭密度、心肺功能、血壓、醫療病例、生活習慣、記憶、飲食、生理與心理情狀、聽力與視力等資訊所集結的健康資料庫，其可堪稱是世界上積累大規模人類健康資訊的來源之一。 欲使用英國人體基因資料庫的申請者，不論其係來自英國或是海外，亦不論申請者係來自學界、產業界、公益團體，或是由政府資助的研究機關（機構）、團體或個人，在本於欲從事的研究係基於健康相關與確保公眾利益的前提之下，均可向該資料庫的管理單位提出使用申請。該申請必須於網路上提出，且欲申請使用之研究必須受到英國人類基因資料庫小組的嚴謹審查，且該審查過程亦會受到英國人體基因資料庫委員會轄下的 Access Sub-Committee所監督。除此之外，具有獨立超然特徵的英國人類基因資料庫倫理與管理會議（UK Biobank Ethics and Governance Council）亦將會監督整個審查系統的運作和流程。 英國人類基因資料庫將允許研究者，在基於保障公眾利益的前提下所進行的健康相關研究，來使用該資料庫內的所有資源。該資料庫期許研究者能夠發現特殊疾病發生於人類個體上的差異性，以進而研發出一套新的治療與防範措施。除此之外，該資料庫的資源利用亦期待研究者能在具有慢性、疼痛與生命威脅性特徵的疾病上，例如癌症、心臟疾病、中風、糖尿病、老人痴呆、憂鬱症、關節炎、眼睛、骨頭和肌肉等疾病，能夠就其發生原因、預防方法與治療方式找出新的診斷和解決方法。
英國資訊委員辦公室提出人工智慧（AI）稽核框架人工智慧（Artificial Intelligence, AI）的應用，已逐漸滲透到日常生活各領域中。為提升AI運用之效益，減少AI對個人與社會帶來之負面衝擊，英國資訊委員辦公室（Information Commissioner’s Office, ICO）於2019年3月提出「AI稽核框架」（Auditing Framework for Artificial Intelligence），作為確保AI應用合乎規範要求的方法論，並藉機引導公務機關和企業組織，評估與管理AI應用對資料保護之風險，進而建構一個可信賴的AI應用環境。 AI稽核框架主要由二大面向所構成—「治理與可歸責性」（governance and accountability）以及「AI特定風險領域」（AI-specific risk areas）。「治理與可歸責性」面向，係就公務機關和企業組織，應採取措施以遵循資料保護規範要求的角度切入，提出八項稽核重點，包括：風險偏好（risk appetite）、設計階段納入資料保護及透過預設保護資料（data protection by design and by default）、領導管理與監督（leadership management and oversight）、政策與程序（policies and procedures）、管理與通報架構（management and reporting structures）、文書作業與稽核紀錄（documentation and audit trails）、遵循與確保能力（compliance and assurance capabilities）、教育訓練與意識（training and awareness）。 「AI特定風險領域」面向，則是ICO特別針對AI，盤點下列八項潛在的資料保護風險，作為風險管理之關注重點： 一、 資料側寫之公平性與透明性（fairness and transparency in profiling）； 二、 準確性（accuracy）：包含AI開發過程中資料使用之準確性，以及應用AI所衍生資料之準確性； 三、 完全自動化決策模型（fully automated decision making models）：涉及人類介入AI決策之程度，歐盟一般資料保護規則（General Data Protection Regulation, GDPR）原則上禁止無人為介入的單純自動化決策； 四、 安全性與網路（security and cyber）：包括AI測試、委外處理資料、資料重新識別等風險； 五、 權衡（trade-offs）：不同規範原則之間的取捨，如隱私保護與資料準確性； 六、 資料最少化與目的限制（data minimization and purpose limitation）； 七、 資料當事人之權利行使（exercise of rights）； 八、 對廣泛公共利益和權利之衝擊（impact on broader public interests and rights）。 ICO將持續就前述AI特定風險領域，進行更深入的分析，並開放公眾討論，未來亦將提供相關技術和組織上之控制措施，供公務機關及企業組織進行稽核實務時之參考。
美國加州法院認定Broadcom控訴Netflix侵權之US 8365183專利不具適格性2022年4月美國加州法院於Broadcom控訴Netflix專利侵權一案中，就Broadcom的第US 8365183號美國專利（下稱183專利）做出無效的判決。 於2020年3月，Broadcom就Netflix對消費者提供的影音服務提起訴訟，認為Netflix影音內容傳輸方式使用到Broadcom的多件專利技術，此次的183專利，主要是用來在多個電腦/伺服器設備中進行處理工作的分配，依Broadcom的主張，該技術應用於影音機上盒這類產品時，可有效的提升影音媒體的效率。這類專利與演算法有關，對於專利本質是否為抽象概念，需要通過美國最高法院就Alice案對於抽象概念的兩階段測試法，先檢驗請求項是否指向抽象概念，再檢驗請求項是否因其中元件（包含電腦/軟體）的配置，改變其性質而成為適格的專利標的。 加州法院法官James Donato認為，就183專利所主張之請求項內容，主要是在於多個伺服器間進行工作分配，此種行為與辦公室裡進行工作分配並沒有不同，且日常生活中也充滿類似情況，如服務生依照顧客需求進行位置安排，就此Broadcom雖提出該專利方法可提高伺服器效率的論點，但法官認為該專利只是列出傳統電腦技術中會執行的步驟順序，未因該專利所揭露的方法促進電腦的功能，而不足以使抽象概念的性質轉化，因此就該專利做出無效的判決。 「本文同步刊登於TIPS網站（https://www.tips.org.tw ）」
協助產業因應歐盟EuP指令之推動情形繼歐盟實施 WEEE 和 RoHS 指令掀起一股綠色風潮之後，歐盟又將啟動能源使用產品生態化設計指令 (Directive of Eco-design Requirements of Energy-using Products ，簡稱 EuP 指令），該指令協調歐盟產品環保設計的通則與標準，要求耗能產品（運輸工具除外）採取以內部設計管制或管理系統評估的方式，進行評鑑以證明其符合這項指令之規定，並取得 CE Marking 的符合性宣告，產品方能在歐盟境內上市。歐盟要求各會員國應於 2007 年 8 月前完成國內立法。 EuP 指令要求產品製造商須採用生命週期（ Life Cycle ）的思考方式，將生態化設計的要求 (Rrequirement of Eco-Design) 融入產品設計開發之中，藉此提高產品效能，增加能源供應的安全性，並達到高度環保要求。雖然目前歐盟尚未公告各項產品之生態化設計要求，但初期已列出包括：加熱與鍋爐設備、辦公事務設備、消費電子、照明、通風與空調、電動馬達、家用電器等 14 項優先管制產品，該等產品實施方法仍在研擬中，未來將逐步擴大管制項目。 依海關統計資料， 2005 年我國輸歐盟 14 類產品之總金額達 2,127 億元台幣。預期 EuP 指令的實施，將對我國產業帶來新的挑戰和機會。為協助我國廠商預先準備因應 EuP 指令，經濟部工業局已逐步協助並輔導業界建立 EuP 符合性評估之基礎，期帶領廠商面對 EuP 指令的挑戰，進而於綠色採購與綠色消費的潮流中持有競爭力。